PHP 5.6 到 8.x 文件上传核心差异在于底层行为与错误处理：UPLOAD_ERR_NO_FILE 更严格、is_uploaded_file() 校验逻辑被废弃、move_uploaded_file() 权限检查更激进，且 $_FILES 多维结构在 PHP 7.4+ 发生断裂。
PHP 文件上传的跨版本核心差异在哪
PHP 5.6 到 8.x 之间，$_FILES 结构本身没变，但底层行为和错误处理逻辑有实质性变化。最常踩坑的是：UPLOAD_ERR_NO_FILE 在 PHP 7.4+ 中对空表单字段返回更严格；PHP 8.1 开始废弃 is_uploaded_file() 的部分内部路径校验逻辑；而 PHP 8.3 进一步收紧了 move_uploaded_file() 对目标目录权限的静默容忍。
如何安全判断文件是否真正上传成功
不能只靠 $_FILES['file']['error'] === UPLOAD_ERR_OK 就认为可操作——它在表单字段为空、或浏览器未触发上传时可能仍为 0（尤其 PHP 7.2–7.4 的某些 CGI 模式下）。必须叠加验证：
-
isset($_FILES['file']) && is_array($_FILES['file'])—— 排除字段未提交或被过滤 -
is_uploaded_file($_FILES['file']['tmp_name'])—— 必须用这个，不能用file_exists()或is_file()替代，否则绕过上传校验 -
$_FILES['file']['size'] > 0—— 防止零字节上传（某些旧版 Nginx + PHP-FPM 组合会漏掉UPLOAD_ERR_NO_FILE）
move_uploaded_file 兼容写法与权限陷阱
move_uploaded_file() 在 PHP 8.0+ 对目标路径的父目录可写性检查更激进：如果 /uploads/2024/ 不存在，即使代码里用 mkdir(..., 0755, true) 创建了，PHP 8.1 仍可能报 Warning: move_uploaded_file(): Unable to move...。原因不是权限，而是 open_basedir 或 upload_tmp_dir 路径与目标路径跨了挂载点（常见于 Docker 容器或 cPanel 环境）。
稳妥做法：
立即学习“PHP免费学习笔记（深入）”；
- 确保
upload_tmp_dir和最终存储路径在同一个文件系统内（查df -T /path） - 创建目标目录时显式指定
umask(0)再调用mkdir()，避免继承 Web 服务器 umask 导致权限不足 - PHP 8.2+ 可改用
file_put_contents($dest, file_get_contents($_FILES['file']['tmp_name']))绕过 move 校验（仅限可信内网环境，性能略低）
$_FILES 多维数组上传的兼容边界
HTML 表单中写 <input name="files[]"> 是安全的，但若用嵌套名如 name="data[attachments][]" ，PHP 5.6–7.3 会生成二维 $_FILES['data']['name']['attachments']，而 PHP 7.4+ 改为三维结构 $_FILES['data']['attachments']['name']。这种结构断裂会导致循环逻辑崩坏。
统一处理建议：
- 避免在
name属性中使用多层方括号，坚持扁平命名如name="attachment_1" - 若必须支持嵌套，用
array_walk_recursive()提前规整$_FILES，而非依赖原始结构 - 不要用
foreach ($_FILES as $key => $val)直接遍历——PHP 8.0+ 中$_FILES的键顺序不再保证与表单字段一致
跨版本上传真正的难点不在语法，而在运行时环境对「临时文件生命周期」和「路径上下文」的定义越来越严。写死路径、忽略 umask、跳过 is_uploaded_file() 校验，这三类操作在 PHP 8.1 后基本都会暴露问题。
